{"id":96716,"date":"2020-10-14T07:42:21","date_gmt":"2020-10-14T05:42:21","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami"},"modified":"2020-10-14T07:42:21","modified_gmt":"2020-10-14T05:42:21","slug":"3-fortianalyzer-getting-started-v6-4-rabota-s-logami","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/3-fortianalyzer-getting-started-v6-4-rabota-s-logami","title":{"rendered":"3. FortiAnalyzer Uvod u rad s logovima v6.4","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"3.
\n
\nDobrodo\u0161li na tre\u0107u lekciju kursa FortiAnalyzer \u2013 Uvod<\/a><\/noindex>. Na pro\u0161lom satu<\/a><\/noindex> postavili smo shemu potrebnu za izvo\u0111enje laboratorijskih radova. U ovoj lekciji \u0107emo istra\u017eiti osnovna na\u010dela rada s logovima na FortiAnalyzer<\/a><\/noindex>, upoznati se s obradom doga\u0111aja, kao i prou\u010diti mehanizme za\u0161tite logova. Teorijski dijelovi, kao i cijeli videozapis lekcije nalaze se ispod. <\/a><\/noindex><\/p>\n

Kako bismo prikupljali logove s ure\u0111aja, potrebno ih je registrirati na FortiAnalyzeru. Postoje dva na\u010dina registracije.<\/p>\n

    \n
  1. Prvi na\u010din \u2014 na ure\u0111aju koji se registrira aktivira se opcija 'slati logove na FortiAnalyzer' i navodi se njegova IP adresa. Nakon toga, na FortiAnalyzer se \u0161alje zahtjev za registraciju tog ure\u0111aja. Administrator mora potvrditi ili odbiti zaprimljeni zahtjev. Ako je aktivirana tehnologija administrativnih domena, FortiGate se mo\u017ee dodati u osnovni ADOM (koji se zove root, s kojim smo radili u pro\u0161loj lekciji), kao i u vlastiti ADOM koji ste sami stvorili, a koji je namijenjen ure\u0111ajima FortiGate. <\/li>\n
  2. Drugi na\u010din \u2014 tzv. \u010carobnjak za registraciju ure\u0111aja. Registracija ure\u0111aja se odvija na samom FortiAnalyzeru. Za registraciju su potrebne informacije o registriranom ure\u0111aju \u2014 serijski broj, IP adresa, tip ure\u0111aja i verzija operativnog sustava. Ako provjera podataka pro\u0111e uspje\u0161no \u2014 ure\u0111aj se dodaje na popis FortiAnalyzer. Ako je aktivirana tehnologija administrativnih domena, ure\u0111aj \u0107e se automatski registrirati u odgovaraju\u0107em administrativnom domenu. Ako imate vi\u0161e sli\u010dnih administrativnih domena, u tom slu\u010daju potrebno je registrirati ure\u0111aj iz onog administrativnog domena u koji ga \u017eelite dodati. <\/li>\n<\/ol>\n

    \nSvaki ure\u0111aj generira logove razli\u010ditih tipova. Glavni tipovi logova koje mogu generirati ure\u0111aji tvrtke Fortinet prikazani su na slici u nastavku. <\/p>\n

    \"3.
    \n
    \nO po\u010detnoj obradi logova ve\u0107 smo govorili na pro\u0161loj lekciji, ali mislim da je dobro obnoviti pam\u0107enje. Logovi koji dolaze na FortiAnalyzer komprimiraju se i spremaju u log datoteku. Kada ova datoteka dosegne odre\u0111enu veli\u010dinu, prepisuje se i arhivira. Takvi logovi nazivaju se arhiviranima. Oni se smatraju offline logovima, jer ih nije mogu\u0107e analizirati u stvarnom vremenu. Za pregled su dostupni samo u RAW formatu. Politika \u010duvanja podataka u administrativnoj domeni odre\u0111uje koliko \u0107e takvi logovi biti pohranjeni u memoriji FortiAnalyzer. <\/p>\n

    U isto vrijeme, logovi se indeksiraju u SQL bazi podataka radi podr\u0161ke analitici. Ovi logovi se analiziraju u FortiAnalyzeru u stvarnom vremenu pomo\u0107u mehanizmata Log View, FortiView i Reports. Politika \u010duvanja podataka u administrativnoj domeni odre\u0111uje koliko \u0107e takvi logovi biti pohranjeni u memoriji FortiAnalyzer. Nakon \u0161to se ovi logovi uklone iz memorije FortiAnalyzer, mogu ostati u obliku arhiviranih logova, ali to ovisi o politici \u010duvanja podataka u administrativnoj domeni. <\/p>\n

    Shematski je proces obrade logova predstavljen na slici ispod. <\/p>\n

    \"3.
    \n
    \nKada logovi stignu na ure\u0111aj, provjeravaju ih obradnici doga\u0111aja. Oni omogu\u0107avaju pra\u0107enje interesantnih doga\u0111aja pomo\u0107u unaprijed postavljenih uvjeta. Uvjeti se postavljaju na parametre sadr\u017eane u logovima RAW formata. U sustavu za svaku administrativnu domenu postoji skup unaprijed postavljenih doga\u0111aja, no po potrebi se mogu kreirati vlastiti obradnici doga\u0111aja. Glavna korist obradnika doga\u0111aja je ta \u0161to, kada do\u0111e do interesantnih doga\u0111aja, sustav mo\u017ee slati obavijesti \u2014 na email ili syslog server, tako\u0111er putem SNMP-a. To omogu\u0107ava prili\u010dno brzo reagiranje na doga\u0111aje koji se de\u0161avaju u mre\u017ei. <\/p>\n

    \"3.
    \n
    \nSada \u0107emo razgovarati o za\u0161titi logova. Budu\u0107i da logovi sadr\u017ee va\u017ene informacije o doga\u0111ajima u mre\u017ei, potrebno ih je za\u0161tititi kako od mogu\u0107eg gubitka uslijed raznih kvarova, tako i od vanjske kompromitacije. Prva tehnologija koja mo\u017ee pomo\u0107i u za\u0161titi logova u slu\u010daju raznih kvarova je RAID. Ona omogu\u0107uje podjelu prostora s dostupnih diskova u nekoliko logi\u010dkih segmenata tako da, u slu\u010daju kvara jednog ili vi\u0161e diskova (ovisno o tipu RAID-a), podaci ne budu izgubljeni. Glavni tipovi RAID-a koji se mogu koristiti u FortiAnalyzeru prikazani su na slici ispod.<\/p>\n

    \"3.
    \n<\/p>\n